Техническая информация
Вредоносные функции
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://www.google.com
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\a42b.tmp\a42c.tmp\a42d.bat
- %TEMP%\a42b.tmp\siw.lic
- %TEMP%\a42b.tmp\siw_init.xml
- %TEMP%\a42b.tmp\siw32.exe
- %TEMP%\a42b.tmp\siw64.exe
- %TEMP%\a42b.tmp\siwviewer.exe
- %TEMP%\a42b.tmp\sleep.exe
- %TEMP%\a42b.tmp\ssdalign.vbs
- %TEMP%\a42b.tmp\stage4x64.exe
- %TEMP%\a42b.tmp\systeminfo.exe
- %TEMP%\a42b.tmp\uptimecal.bat
- %TEMP%\a42b.tmp\vmmap.exe
- %TEMP%\a42b.tmp\vtsysinfodll.bat
- %TEMP%\a42b.tmp\weblogin.vbs
- %WINDIR%\siw.exe
- %WINDIR%\siw.lic
- %WINDIR%\siw_init.xml
- %WINDIR%\siw32.exe
- %WINDIR%\siw64.exe
- %WINDIR%\siwviewer.exe
- %TEMP%\a42b.tmp\siw.exe
- %APPDATA%\microsoft\windows\privacie\index.dat
- %TEMP%\a42b.tmp\sigcheck.exe
- %TEMP%\a42b.tmp\process.exe
- %TEMP%\a42b.tmp\appcrashview.exe
- %TEMP%\a42b.tmp\bluescreenview.exe
- %TEMP%\a42b.tmp\bsodcrashhangdetections.bat
- %TEMP%\a42b.tmp\coretemp.exe
- %TEMP%\a42b.tmp\coretemp.ini
- %TEMP%\a42b.tmp\cports.exe
- %TEMP%\a42b.tmp\cprocess.exe
- %TEMP%\a42b.tmp\devmanview.exe
- %TEMP%\a42b.tmp\filever.exe
- %TEMP%\a42b.tmp\finalxpzip.bat
- %TEMP%\a42b.tmp\finalzip.bat
- %TEMP%\a42b.tmp\fulleventlogviewx64.exe
- %TEMP%\a42b.tmp\gdiview.exe
- %TEMP%\a42b.tmp\gdiviewx64.exe
- %TEMP%\a42b.tmp\killcoretemp.bat
- %TEMP%\a42b.tmp\multimonitortool.exe
- %TEMP%\a42b.tmp\myeventviewer.exe
- %TEMP%\a42b.tmp\myeventviewerx64.exe
- %TEMP%\a42b.tmp\nircmdc.exe
- %TEMP%\a42b.tmp\serviwin.exe
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012025032720250328\index.dat
Сетевая активность
Подключается к
- 'google.com':80
- 'google.com':443
TCP
Запросы HTTP GET
- http://www.google.com/
Другие
- 'google.com':443
UDP
- DNS ASK google.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\a42b.tmp\nircmdc.exe' win setsize ititle "SA-PC Qualification BuyOff Vision Health Status Tool" 110 150 700 400
- '%TEMP%\a42b.tmp\nircmdc.exe' closeprocess siw.exe
- '%TEMP%\a42b.tmp\nircmdc.exe' closeprocess siw32.exe
- '%TEMP%\a42b.tmp\nircmdc.exe' closeprocess siw64.exe
- '%TEMP%\a42b.tmp\nircmdc.exe' killprocess siw.exe
- '%TEMP%\a42b.tmp\nircmdc.exe' killprocess siw32.exe
- '%TEMP%\a42b.tmp\nircmdc.exe' killprocess siw64.exe
- '<SYSTEM32>\wscript.exe' "%TEMP%\A42B.tmp\WebLogin.vbs"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\A42B.tmp\A42C.tmp\A42D.bat <Полный путь к файлу>"
- '<SYSTEM32>\net.exe' use * /delete /y
- '<SYSTEM32>\cmdkey.exe' /delete:mis-fs02-sv
- '<SYSTEM32>\ping.exe' -n 1 www.google.com
- '<SYSTEM32>\find.exe' "TTL="
- '<SYSTEM32>\cmd.exe' /C "WebLogin.vbs"
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' http://www.google.com (со скрытым окном)
